Se apoderaron de mi servidor! Ayuda por favor

[kilburn]

1. No, no puedes culpar a ese cliente que simplemente estaba usando el webmail en ese momento.

2. Sí, parece que es una web la que está enviando mensajes. Así un poco a lo drástico, puedes quitarle el permiso de ejecución a /usr/sbin/sendmail:

Code:

chmod -x /usr/sbin/sendmail

Eso sí, ten en cuenta que probablemente no podrás recibir mails ni de ninguna web ni de los programas típicos que mandan mails (cron, logwatch, etc...).

Para saber exactamente qué web está mandando los mensajes tienes que investigar más por los /var/log/mail.* Lo que buscas es la línea de "pickup" que se corresponde con uno de los "delivery id" de los spams. En tu caso, "A13F966026A" seria un ejemplo de delivery id, y puedes tratar de ver el usuario que lo envió haciendo:

Code:

grep A13F966026A /var/log/mail.log | grep pickup

De ahí sacaras un uid (user identifier), y puedes saber de qué web es haciendo:

Code:

grep <uid> /etc/passwd

(donde <uid> es el numero sacado de la línea anterior).

A partir de ahí ya se trata de encontrar exactamente qué le han hecho a esa web para ponerse a mandar spam a través suyo...